La Cnil a une nouvelle fois épinglé vendredi une start-up spécialisée dans le ciblage publicitaire, lui reprochant d’exploiter des données d’utilisateurs de smartphones sans accord clair de leur part. La société, Vectaury, est la quatrième de ce type visée par la Cnil depuis l’entrée en vigueur du nouveau Règlement européen sur la protection des données (RGPD), le 25 mai dernier.
La Cnil a déjà épinglé en juillet les sociétés Fidzup et Teemo, et en octobre la société Singlespot. Teemo a déjà régularisé sa situation.
Vectaury a trois mois pour se mettre en conformité dans le recueil des consentements, faute de quoi elle risque une sanction de la Cnil.
Vectaury intègre des morceaux de code, des «SDK» informatique, dans les applications pour mobile distribuées par ses sociétés partenaires.
Ces SDK lui permettent de collecter, même lorsque les applications ne fonctionnent pas, l’identifiant publicitaire des smartphones et des données de géolocalisation.
Ils permettent ainsi l’affichage de publicités ciblées sur l’écran des smartphones.
Vectaury «indique traiter ces données avec le consentement des personnes concernées» a indiqué la Cnil dans son communiqué. «Toutefois, les vérifications de la Cnil ont permis de constater que le consentement n’est pas valablement recueilli», a-t-elle ajouté.
La Cnil reproche aussi à Vectaury d’exploiter sans consentement valable des données d’internautes recueillies lors des offres d’enchères publicitaires en temps réel.
Vectaury a ainsi recueilli «plus de 42 millions d’identifiants publicitaires et les données de géolocalisation à partir de plus de 32 000 applications», a indiqué la Cnil.
Pour échapper à la sanction, Vectaury devra mettre en place des demandes de consentement valables, mais aussi «supprimer les données indûment collectées», a précisé l’institution publique.
Concrètement, Vectaury assure que «les demandes de la CNIL sur le consentement font déjà partie de la roadmap de Vectaury qui présente un processus documenté et structuré de recueil du consentement avec le lancement de sa fonctionnalité d’Opt’In (Janvier 2018) et sa Consent Management Platform (Juillet 2018) construite suivant le framework (modèle standard) IAB utilisé par la majorité des acteurs du marché. Vectaury a recruté une Privacy Manager, Mathilde Ferriol, dès Janvier 2016, nommée Correspondante Informatique et Libertés en juin 2017. Depuis cette date, elle échange régulièrement avec la CNIL afin d’accompagner les choix et la démarche Privacy de Vectaury.»
«Nous accueillons les demandes de la CNIL avec sérieux mais sans appréhension car nous développons une technologie «Privacy by design» depuis 2016. Nous répondrons dans les prochains jours aux demandes de l’action de la CNIL et ainsi achèverons notre process de mise en conformité. Nous communiquerons très prochainement sur l’avancement de ce dossier. Respecter la vie privée des utilisateurs relève du bon sens et de l’éthique et pas seulement d’une obligation juridique.» précise Matthieu Daguenet, CEO de Vectaury.
Fondée en octobre 2014, Vectaury emploie environ 70 personnes mais compte rapidement doubler ses effectifs, après une levée de fonds de 20 millions d’euros début octobre.
Vectaury revendique de «travailler avec plus de 100 marques et agences, avec la capacité de toucher plus de 25 millions de profils qualifiés en France».
(Avec AFP)
